Im Juni berichteten wir über die Zustimmung des Europäischen Parlaments zum neuen Rechtsrahmen für Künstliche Intelligenz („KI“), was den Weg für den Trilog ebnete (Legal Update vom 28.06.2023). Am Abend des 8. Dezember 2023 wurde nach intensiven Verhandlungen zwischen dem Europäischen Rat („Rat“), dem Europäischen Parlament („Parlament“) und der Europäischen Kommission („Kommission“) eine Einigung im Trilog erzielt. Diese Einigung stellt einen entscheidenden Moment in der Entwicklung und Regulierung von KI in der Europäischen Union dar. Ein vollständiger Text wurde bislang nicht veröffentlich, sodass die genauen Details zum jetzigen Zeitpunkt noch unklar sind.
Vorgeschichte
Zu Beginn waren Foundation Models (auch bekannt als „Basismodelle“) und General Purpose AI („GPAI“, auch bekannt als „Allzweck-KI“) in der öffentlichen Wahrnehmung nicht präsent, daher enthielt der ursprüngliche Vorschlag der Kommission keine spezifischen Regelungen für diese Technologien. Jedoch wurde bald die Notwendigkeit erkannt, diese neuen Ansätze zu regulieren.
Im Juni 2023 veröffentlichte das Parlament seine Position, in dem es Artikel 28b in die KI-Verordnung einfügte und somit den Begriff des Foundation Models erstmals in den Gesetzestext aufnahm. Das Parlament legte eine Reihe von Pflichten für Foundation Models fest, unabhängig von ihrer Risikokategorie. Auch der Begriff GPAI wurde, wie in unserem Beitrag beschrieben, durch das Parlament in den Entwurf der KI-Verordnung aufgenommen.
Diskussion in den Trilogverhandlungen
In den Trilogverhandlungen konzentrierten sich die Diskussionen über die Regulierung von Foundation Model und GPAI auf einen abgestuften Regulierungsansatz mit strengeren Auflagen für leistungsfähige KI-Modelle. Beim politischen Trilog am 24. Oktober 2023 konnte dahingehend keine Einigung erzielt werden. Ein angepasster Entwurf des Rates unter spanischem Vorsitz vom 5. November 2023, der eine Differenzierung zwischen Foundation Model und „high impact“ Foundation Model mit besonderen Anforderungen vorsah, fand ebenfalls keine Zustimmung.
Während der Verhandlungen am 9. November 2023 lehnten Deutschland, Frankreich und Italien umfassende Regulierungen von Foundation Models ab und schlugen stattdessen eine Selbstregulierung mittels eines Verhaltenskodex vor. Als Reaktion darauf präsentierte die Kommission am 19. November 2023 einen Kompromisstext, der den abgestuften Regulierungsansatz beibehielt, die Regulierung jedoch abschwächte und die Begriffe Foundation Model und GPAI durch „GPAI model“ und „GPAI system“ ersetzte. Für GPAI models wurde die zusätzliche Abstufung „GPAI models with systemic risks“ für die leistungsstärksten KI-Modelle eingeführt. Der Kompromisstext bildete die Grundlage für weitere Verhandlungen.
Einigung im Trilog
Am Abschluss des Trilogs erzielten Parlament, Rat und Kommission eine Einigung auf einen Entwurf, der sicherstellen soll, dass KI in Europa vertrauenswürdig ist und die Grundrechte sowie die Demokratie respektiert, während gleichzeitig Unternehmen profitieren und expandieren können. Mit dieser Verordnung positioniert sich die EU als internationaler Vorreiter in der KI-Regulierung.
Definition und Regulierung von KI
Die endgültige Definition von KI-Systemen für die KI-Verordnung orientiert sich an der neuesten Version der OECD-Richtlinien, um eine Harmonisierung mit internationalen Standards zu gewährleisten. Danach ist ein KI-System „ein maschinengestütztes System, das für explizite oder implizite Ziele aus den empfangenen Eingaben ableitet, wie es Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugen kann, die physische oder virtuelle Umgebungen beeinflussen können."
Zudem wurde eine Einigung über die Regulierung von Foundation Models und GPAI unter der neuen Kategorie „GPAI systems and models“ erzielt. Konkret wurde ein abgestufter Ansatz vereinbart, der zwischen allen GPAI models und GPAI models with systemic risks unterscheidet.
Die Einigung sieht weiter vor, dass alle GPAI models den ursprünglich vom Parlament vorgeschlagenen Transparenzanforderungen unterliegen, einschließlich der Verpflichtung zur Offenlegung von Trainingsdaten für alle GPAI models. „High-Impact“ GPAI models with systemic risks müssen zudem Modellbewertungen durchführen, systemische Risiken bewerten und abschwächen, der Kommission über schwerwiegende Vorfälle berichten, IT-Sicherheit gewährleisten und über ihre Energieeffizienz berichten. Ein GPAI-Modell soll dann als systemisch riskant gelten, wenn es mit einer Gesamtrechenleistung von mehr als 10^25 FLOPs trainiert wurde.
Weitere wichtige Punkte
KI-Systeme, die kostenlos oder unter einer Open-Source-Software bereitgestellt werden, sollen von den neuen Regulierungen ausgenommen werden, sofern sie Urheberrechte beachten und Transparenzanforderungen erfüllen. Diese Ausnahmeregelung soll jedoch nicht für verbotene KI-Praktiken und GPAI models with systemic risks gelten.
Zusätzlich haben Parlament, Kommission und Rat eine Beschränkung der Verwendung biometrischer Überwachungstechnologien beschlossen.
Außerdem wurde die Einrichtung eines neuen europäischen KI-Amtes („AI Office“) innerhalb der Kommission beschlossen, die die Koordination auf europäischer Ebene gewährleisten soll. Als weiteres Gremium wurde die Einrichtung eines „AI-Board“ aus Vertretern der Mitgliedstaaten als Koordinierungsplattform und Beratungsgremium der Kommission beschlossen.
Bei Verstößen gegen die Vorschriften der KI-Verordnung sollen Geldstrafen von bis zu 35 Millionen Euro oder bis zu 7% des weltweiten Jahresumsatzes verhängt werden können.
Die nächsten Schritte
Nach der politischen Einigung am 8. Dezember 2023 werden in den kommenden Monaten technische Verhandlungen stattfinden, um die auf politischer Ebene vereinbarten Bestimmungen sowie bestimmte Aspekte des Rechtstextes, die noch technischen Verhandlungen unterliegen und noch nicht vereinbart wurden, zu klären. Es wird erwartet, dass die technischen Verhandlungen bis Februar 2024 andauern werden. Sobald ein endgültiger Rechtstext vereinbart wurde, muss dieser vom Parlament und Rat formell angenommen werden. Aktuell ist zu erwarten, dass die KI-Verordnung ab dem zweiten oder dritten Quartal 2026 Anwendung findet.
Ausblick
Es bleibt auch nach der Einigung im Trilog bei unserer bisherigen Empfehlung zur Umsetzung der notwendigen Vorbereitungsmaßnahmen. Wie in unserem Beitrag umfassend beschrieben, empfehlen wir in einem ersten Schritt weiterhin folgende Maßnahmen:
- Hersteller oder Anbieter von KI-Systemen sollten die Funktionsweise ihres KI-Systems verstehen.
- Hersteller oder Anbieter von KI-Systemen sollten sicherstellen, dass ihr KI-System rechtliche Aspekte berücksichtigt.
- Hersteller oder Anbieter von KI-Systemen sollten technische Sicherheitsvorkehrungen und Überwachungsmechanismen einsetzen, um etwaige Fehler, Risiken oder Schäden durch ihr KI-System zu erkennen, zu verhindern und zu korrigieren.
- Betreiber oder Nutzer von KI-Systemen sollten die Nutzungsbedingungen der von ihnen eingesetzten KI-Systeme prüfen.
